Настроить VPN, протянуть туннель, настроить обфускацию

Делаю VPN для себя и друзей. Есть два VPS-сервера под root на Ubuntu 18.04: 1 в РФ, один заграницей.

Сейчас на РФ стоит Wireguard, куда я коннекчусь.
Уже настроены ipset Беларуси и РФ – они выходят в инет с сервера РФ. Есть еще один ipset капризных сайтов, который направляется на Tor-службу, установленную здесь же.
Весь остальной траффик уходит на службу redsocks и далее на ssh-туннель, соединяющий сервер РФ и заграничный, и таким образом остальные адреса выходят в инет через заграничный сервер.

Какие задачи и проблемы надо решить:
1) ssh-туннель почему-то нестабильно работает. Подозреваю, что иногда по маршруту он нарывается на DPI и тот его душит до ширины канала текстового терминала.
Нужно сделать туннель на другой основе и с обфускацией. Если делать туннель на Wireguard, то надо решить проблему с первыми 4 байтами Handshake, либо упаковать его в Websockets (Wireguard-over-Websockets).
2) не удается заставить перенаправление траффика на Tor работать. Причем Tor сам работает – проверял на curl.
3) Установить на сервер РФ удобный UI для Wireguard.
4) после решения основных задач, закрыть все лишнее через iptables или подобные интерфейсы.
5) объяснить мне, как удалось настроить, какие настройки изменены, какие новые службы установлены и т д и принцип их работы.